Cyber Resilience Act: cómo notificar vulnerabilidades en 24 horas

Desde el 11 de septiembre de 2026, los fabricantes de cualquier producto con elementos digitales que se venda en la Unión Europea tienen una obligación nueva y muy concreta: notificar en 24 horas las vulnerabilidades que se estén explotando activamente. Es la primera parte del Cyber Resilience Act (Reglamento (UE) 2024/2847) que se aplica de verdad, y ha llegado antes que el resto del reglamento, que no será plenamente aplicable hasta diciembre de 2027.

Mucha gente sigue pensando que el CRA es «para dentro de un año». Para la notificación, no lo es. Ya está en vigor.

Qué es el Cyber Resilience Act en dos párrafos

El CRA establece requisitos de ciberseguridad obligatorios para los productos con elementos digitales: hardware y software que se conectan, directa o indirectamente, a otro dispositivo o a una red. Desde una cámara IP hasta un programa de gestión instalado en local. Exige seguridad desde el diseño, gestión de vulnerabilidades durante todo el periodo de soporte y documentación técnica, con la marca CE como prueba de cumplimiento.

La diferencia con NIS2 es clave. NIS2 regula a las entidades que prestan servicios esenciales o importantes. El CRA regula los productos que esas entidades, y todos los demás, compran y usan. Son complementarios.

Qué hay que notificar desde septiembre de 2026

El artículo 14 obliga al fabricante a notificar dos tipos de hechos:

• Vulnerabilidades explotadas activamente en sus productos, es decir, aquellas para las que hay pruebas fiables de que alguien las está aprovechando.
• Incidentes graves que afecten a la seguridad del producto.

Y un detalle que muchos pasan por alto: por el artículo 69.3, esta obligación se aplica a todos los productos dentro del ámbito del reglamento, incluidos los que se comercializaron antes del 11 de diciembre de 2027. No hay excepción para lo que ya está en el mercado.

Los plazos: 24 horas, 72 horas y el informe final

• Alerta temprana en 24 horas desde que el fabricante tiene conocimiento.
• Notificación completa en 72 horas, con la información disponible sobre la vulnerabilidad o el incidente y las medidas adoptadas.
• Informe final: en las vulnerabilidades, a más tardar 14 días después de que exista una medida correctora; en los incidentes graves, en el plazo de un mes desde la notificación de 72 horas.

Las notificaciones se presentan a través de la Plataforma Única de Notificación gestionada por ENISA, dirigidas al CSIRT coordinador del Estado miembro correspondiente, y ENISA recibe la información de forma simultánea.

Si estos plazos te resultan familiares es porque se parecen mucho a los de NIS2 y DORA. Lo comparé en detalle en el artículo sobre la notificación de incidentes en 72 horas en RGPD, NIS2 y DORA. La diferencia es que aquí notifica el fabricante del producto, no necesariamente la entidad que lo sufre.

Quién está afectado (y quién cree que no lo está)

Obviamente, los fabricantes de dispositivos y de software comercial. Pero también:

• Empresas que desarrollan software propio y lo venden o lo distribuyen a clientes, aunque no se consideren «empresas de software».
• Importadores y distribuidores, que tienen obligaciones de verificación y de información.
• Quien modifica sustancialmente un producto y lo vuelve a comercializar, que pasa a ser considerado fabricante.

Y para las organizaciones que compran tecnología, el CRA es una herramienta de gestión de proveedores: puedes y debes exigir a tus fabricantes que acrediten cómo cumplen. Encaja de lleno con la evaluación de proveedores que exige NIS2 en la cadena de suministro.

Las sanciones

El incumplimiento de los requisitos esenciales y de las obligaciones de los artículos 13 y 14 puede sancionarse con multas de hasta 15 millones de euros o, si es mayor, hasta el 2,5 % del volumen de negocio mundial anual. No es una cifra para tomarse a la ligera.

Cómo prepararse en la práctica

1. Inventario de productos afectados. Qué productos con elementos digitales comercializas, en qué versiones y con qué periodo de soporte.
2. Canal de entrada de vulnerabilidades. Una política de divulgación coordinada y un buzón que alguien lee de verdad, también en fin de semana.
3. Procedimiento de triaje 24/7. Quién decide si una vulnerabilidad está «explotada activamente» y en cuánto tiempo. El reloj empieza cuando lo sabes, no cuando lo confirmas al cien por cien.
4. Acceso a la plataforma de ENISA y plantillas de notificación preparadas antes de necesitarlas.
5. Gestión de parches y SBOM. Saber qué componentes lleva cada producto es imprescindible para reaccionar rápido. Lo trato en gestión de parches y vulnerabilidades y en cómo integrar la seguridad en el ciclo de desarrollo seguro.
6. Simulacro. Ejecuta al menos una vez el ciclo completo: detección, triaje, alerta en 24 horas, notificación en 72 horas e informe final.

Lo que viene después

El calendario del CRA sigue: las normas sobre organismos notificados se aplican desde junio de 2026 y el reglamento será plenamente aplicable el 11 de diciembre de 2027, cuando todos los productos nuevos deberán cumplir los requisitos esenciales para llevar la marca CE. Quien desarrolle productos con IA, además, tendrá que coordinar la evaluación del CRA con la del AI Act, que sigue una lógica parecida a la de la evaluación de la conformidad de sistemas de IA de alto riesgo.

Conclusión: el reloj ya corre

El Cyber Resilience Act no empieza en 2027. Su obligación más exigente en tiempo, la notificación en 24 horas, ya está activa y afecta a productos que llevan años en el mercado. La buena noticia es que prepararse no requiere grandes inversiones, sino proceso, responsables claros y práctica.

Si tu organización fabrica o integra productos con elementos digitales y necesita ordenar su cumplimiento del CRA junto con NIS2 o DORA, puedo ayudarte a dirigirlo. Hablemos.

Preguntas frecuentes sobre el Cyber Resilience Act